Prácticas TI-Grundschutz

Por qué el punto de partida determina la auditabilidad

Muchos proyectos de IT-Grundschutz comienzan con una larga lista de requisitos. Esto parece minucioso, pero rápidamente produce hojas de cálculo dispersas, propiedad inconsistente y evidencia que debe recopilarse justo antes de una auditoría.

Un mejor punto de partida es un alcance limpio. ¿Qué unidades organizativas, procesos, aplicaciones, sistemas informáticos, redes y proveedores de servicios pertenecen realmente al concepto de seguridad? Esta decisión determina qué módulos son relevantes y qué evidencia necesitará posteriormente para resistir una auditoría.

• Definir el alcance por escrito y nombrar propietarios responsables.
• Registre los activos de destino con nombres, categorías y propietarios inequívocos
• Hacer visibles las relaciones entre procesos, datos, aplicaciones e infraestructura.

El modelado es un modelo funcional, no una forma.

El modelado conecta los activos objetivo reales con los módulos IT-Grundschutz adecuados. Su valor no proviene únicamente de la asignación, sino de si la estructura del dominio de información está representada de manera coherente.

Si un proceso crítico depende de una aplicación, un segmento de red y un proveedor externo, esa dependencia debe ser visible en el concepto de seguridad. Sólo entonces podrán explicarse de manera convincente las necesidades de protección, el estado de implementación y los riesgos residuales.

• Explique la asignación de cada módulo para su activo objetivo.
• Documentar las dependencias antes de evaluar las salvaguardas
• Marcar excepciones y casos especiales como puntos abiertos con anticipación

Un margen mínimo sensato para la primera pasada

Para el primer paso defendible, un alcance claro y compacto suele ser más útil que uno amplio pero vago. Comience con un dominio de información representativo cuyos procesos, aplicaciones e infraestructura se comprendan bien.

Luego, el método se puede repetir: agregar activos de destino, ampliar las asignaciones de módulos, propagar las necesidades de protección, priorizar las salvaguardas abiertas y agrupar las pruebas por propiedad.

• Construya el primer concepto de seguridad con una profundidad clara en lugar de una amplitud máxima
• Priorizar las salvaguardas abiertas por riesgo, relevancia de la auditoría y viabilidad
• Vincular evidencia donde se evalúa el requisito correspondiente